A vállalatok számára új kiberbiztonsági kockázatokat teremtett a megváltozott politikai és gazdasági környezet, a régi, közismert támadások új ruhába öltözve veszélyeztetik a szervezetek működését. Biztonságtudatossági oktatásokkal, az infrastruktúra, a partnerek és az ellátási lánc szereplőinek átvizsgálásával védekezhetünk hatékonyan. A valós IT-biztonságnak persze ára van. Ha a védelmi infrastruktúrát kockázatarányosan, a megbízható IT-szolgáltatókkal közösen alakítjuk ki, minden egyes forintot garantáltan jól költünk el. Zala Mihállyal, az EY kiberbizonsági üzletágának vezetőjével beszélgettünk.
– Hogyan változtak a kiberbiztonság trendjei a közelmúlt társadalmi és politikai eseményeit figyelembe véve?
– A járvány jellemezte időszakban minden vállalat számára a távmunka és a vele kapcsolatos biztonsági kihívások kerültek előtérbe. Ekkor a vezetők számára a kiberbiztonsági kockázatok hátrább sorolódtak a fontossági listában és nem meglepő módon az üzletmenet-folytonossági, járvánnyal, katasztrófákkal kapcsolatos aggodalmak váltak hangsúlyossá. Azonban a 2022 elejére jellemző gazdasági problémák és a háború miatt a vállalatok és vezetőik számára újból az kiberkockázatok és az ellátási lánc biztonsága került első helyre. A világ rendkívül polarizálttá vált, a különböző vállalatokat vélt vagy valós politikai hovatartozásuk, cselekedeteik miatt támadnak. A cégek számára ez teljesen új kockázatot jelent, ami miatt nehezen tudják megítélni az esetleges támadások okait.
Mindezekre a változásokra a hétköznapi bűnözők is felfigyeltek, és az új helyzetet kihasználva igyekeznek pénzügyi hasznot húzni. Így biztos szép számmal jelentek meg olyan szervezetek, amelyek nem egy legitim alapítvány, hanem saját számlájukra utaltatják manapság akár a menekülteknek kért összegeket is. Ezt már a Covid-járvány esetében is tapasztaltuk. Az adathalász-támadások akkor a leghatásosabbak, ha az emberek félelmeire, segíteni akarására támaszkodnak. Ezt a bűnözők is nagyon jól tudják. A régi kockázatok most új köntösbe öltöztetve jelennek meg.
– Egy ilyen környezetben milyen támadások kivédésére készüljenek fel a vállalatok?
– Azt gondoljuk, hogy az infrastruktúra elleni támadások jelentősége felértékelődik. Ezt azt jelenti, hogy vállalati viszonylatban nem elég csak egy-egy kritikus üzleti alkalmazást megvizsgálni kiberbiztonsági szempontból, vagy felmérni annak kockázatait. A kevésbé képzett támadók eszköztára is eléggé széles már ahhoz, hogy bármilyen piciny sérülékenységet kihasználva bejussanak a vállalati hálózatba. A támadóknak van idejük alaposan végig nézni minden interneten fellelhető domaint és aldomaint, leltárba veszik az összes, interneten működő szolgáltatást, minden eszközt alaposan megvizsgálnak. Például, ha a kontraktorok számára is van külön fenntartott kommunikációs csatorna, az sem kerüli el figyelmüket. Ha ebben a komplex vállalati infrastruktúrában csak egy sérülékeny elem van, a támadók azonnal lecsapnak, és rajta keresztül eljutnak a kritikus alkalmazásokhoz is.
Az EY-nál nagyon sok vállalati ügyfelünk hálózatát teszteljük és vizsgáljuk. Sajnos, azt kell mondanom, hogy még a magas biztonságtudatú cégek esetében is, akik kiemelt figyelmet fordítanak erre a területre, találunk problémákat és hibákat. Volt olyan ügyfelünk is, akinél pont a nem üzleti rendszereken keresztül tudtunk eljutni a legutolsó HR-es információig, csak egyszerűen végig kellett menni a közismert hibákon.
– Vannak olyan támadástípusok, melyek megújultak, esetleg hatékonyabbá váltak?
– Az ellátási láncokat ért támadások okait nehezebb megítélni. Egyértelműen romboló, gazdaságilag értelmetlen szándékok is megjelentek. A háború miatt voltak és lesznek olyan támadások, melyeknek célja a termelést lelassítani vagy teljesen megakasztani. Míg korábban egyértelműen gazdasági szándék volt a jellemző, egyszerűen a pénzszerzés vagy a versenytársak kiiktatása volt a cél.
Változtak az adathalász támadások is. Sok esetben felderítő tevékenység előzi meg elindításukat. A vállalat életét jobban megismerve sokkal valószínűbb, hogy célba érnek. Célzottan támadják azokat a kulcspozícióban lévő embereket, akik kiemelt jogosultságú felhasználók vagy akiknek hozzáférésük értékesebb lehet a fekete piacon. A gépi fordítók helyett emberi intelligencia fogalmazza meg ezeket a leveleket, így a rossz helyesírás sem fedi fel kilétüket.
– Az IT-biztonságot felhőszolgáltatásként is igénybe lehet venni. Mennyire nyitottak erre a magyar vállalatok?
– Sajnos érettségben még nem tartanak ott a magyar kis- és közepes méretű vállalatok, hogy az IT-biztonságot a felhőből vegyék igénybe. A felhőszolgáltatás itthon biztonság területén még mindig tabu téma. Pedig a hardvert, szoftvert és IT-szolgáltatást is sokkal kedvezményesebben lehet a cloudból használni, mint ha saját magunk építenénk ki. Arról nem is beszélve, hogy a rendszerek üzemeltetéséhez szükséges szakembereket nehezen vagy egyáltalán nem találják meg a cégek. Arra is kell gondolni, hogy egy felhőszolgáltató esetében nemcsak előfizetek a biztonságra, hanem egy nemzetközi szakértői csapat tudásához és szakértelméhez is hozzáférek.
– Mit javasol, milyen eszközökre helyezzék a hangsúlyt a szervezetek védekezéskor?
– Azt tapasztaljuk, hogy a biztonságtudatosító oktatásoknak kiemelt szerep jut, esetenként 75-80 százalékkal is növelhető a kollégák biztonságtudatossági szintje. Szerencsére léteznek már olyan oktatási eszközök, melyek segítségével célzottan mérhető a kollégák tudatossági szintje, nyomon követhető, hogy milyen területeken van szükség további oktatásra és milyen területeken kiváló a tudás. Például adathalász támadások esetében eléggé szofisztikált forgatókönyvek segítségével lehet tesztelni a kollégák tudását. A tesztleveleket nem egyszerre, hanem szétszórva, különböző bontásokban küldjük el, egy dashboardon nyomon tudjuk követni, ki mennyit fejlődött az előző teszthez képest.
A második védekezési eszköz az infrastruktúra már említett átvizsgálása. Részletekbe menően érdemes átnézni és kivizsgálni, hogy hol, milyen sérülékenységek vannak, és nemcsak a core rendszereket kell megnézni, hanem az összeset. Ha már az infrastruktúrát vizsgáljuk, akkor érdemes annak terhelhetőségére és áteresztőképességére is időt szánni, így egy kisebb DDoS-támadásnak még ellenáll a rendszer.
Harmadik megvizsgálandó pont az ellátási lánc szereplői és a partnerek egyaránt. Nagyon sok vállalatnál kényelmi és gazdaságossági szempontok miatt a BYOD még mindig divat. Viszont érdemes ezeket a külső eszközöket is egy vállalati biztonsági szabályzat szerint beengedni a céges hálózatba, vagy a szegmentáció elve szerint eleve egy teljesen önállóan működő hálózatba szervezni őket. A járvány miatt elrendelt távmunka egyébként a hálózati szeparáció legnagyobb tesztje volt.
A rossz hírem az, hogy az IT-biztonság megteremtése pénzbe kerül. Azonban, ha a védelmi infrastruktúrát kockázatarányosan, megbízható IT-szolgáltatókkal közösen alakítjuk ki, minden egyes forintot garantáltan jól költünk el.
